Acer System Monitor提权（CVE-2026-50610）：从标准用户到SYSTEM，厂商控制中心软件成攻击入口

原创

bk.klsec.com
bk.klsec.com

昆仑AI安全实验室

2026年10月7日 02:35
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一台预装了NitroSense的Acer笔记本，一个普通标准用户账号，一条命名管道，一个注册表写入命令。三分钟之后，这个标准用户变成了NT AUTHORITY\SYSTEM。

这不是理论推演。Intrinsec的研究员Cassius Garat在2026年9月完整披露了这条攻击链。CVE-2026-50610，CVSS 4.0评分7.4，影响Acer System Monitor组件（包含于NitroSense和PredatorSense），漏洞根因是特权服务中访问控制不足。PoC已公开，利用方式是IFEO劫持。

OEM“控制中心”软件的安全问题，又一次成为了本地提权的入口。

一、OEM控制中心：一个被忽视的特权桥梁

NitroSense和PredatorSense是Acer游戏笔记本和工作站上预装的性能控制软件。它们提供风扇曲线调节、CPU温度监控、键盘灯效控制等功能。这些功能需要访问嵌入式控制器、底层硬件接口，普通用户权限做不到。

所以Acer把产品拆成了两半：一个用户态的前端应用，以普通用户权限运行；一个后台服务，以LocalSystem权限运行。用户态应用通过命名管道向SYSTEM服务发送请求，服务执行特权操作后返回结果。

这个架构本身没有问题。问题在于：这个SYSTEM服务在接收请求时，没有验证请求的来源，也没有限制请求的内容。

二、漏洞根因：一条对所有用户开放的命名管道

Intrinsec的研究员用AccessChk枚举了标准用户可以写入的命名管道，两个Acer管道直接暴露在结果里：

systemmonitoring_hardware_service_   RW NT AUTHORITY\\Authenticated Userspredatorsense_hardware_service_       RW NT AUTHORITY\\Authenticated Users

这两个管道的访问控制列表授予了Authenticated Users组读写权限。这意味着，机器上的任何一个已认证用户——不需要管理员权限——都可以向这个管道写入数据。管道背后的AcerSysHardwareService.exe，以SYSTEM权限运行。

进一步分析管道背后的安全描述符，SDDL字符串清晰可见：

D:(D;OICI;GA;;;BG)(D;OICI;GA;;;AN)(A;OICI;GRGWGX;;;AU)(A;OICI;GA;;;BA)

关键字段是(A;OICI;GRGWGX;;;AU)——Authenticated Users被授予了Generic Read、Generic Write和Generic Execute权限。这个配置的本意可能是“让用户态应用能和服务通信”，但它没有区分“哪个用户态应用”，也没有对消息内容做任何校验。

VulDB的分析进一步指出，服务在处理本地进程请求时，未能执行严格的完整性检查或权限限制，允许任何标准权限用户与一个本应仅限管理员使用的组件交互。这是一个典型的权限分离不足问题——低权限实体可以通过过于宽松的安全描述符影响高权限操作。

三、攻击链还原：从枚举管道到SYSTEM Shell

Intrinsec在披露中给出了完整的利用路径。攻击链分四步。

第一步：枚举可写的命名管道。

用AccessChk扫描\\pipe\\目录，找出所有标准用户可以写入的管道：

accesschk.exe -accepteula -w \\pipe\\

结果中返回systemmonitoring_hardware_service_，权限为RW，授予Authenticated Users。Process Explorer进一步确认，这个管道属于AcerSysHardwareService.exe，sc qc验证该服务以SYSTEM权限运行。

第二步：分析管道协议。

用逆向工具分析AcerSysHardwareService.exe的二进制，找到管道消息的格式。服务接收的消息中包含一个操作码和参数。关键发现是：服务支持通用注册表写入命令——请求中可以直接指定要写入的注册表路径和值。

Threadlinqs的威胁情报分析确认了这一点：“A standard local user can write arbitrary HKLM values”。这意味着攻击者可以往HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下的任意子键写入Debugger值。

第三步：构造IFEO劫持请求。

IFEO（Image File Execution Options）是Windows的一个调试机制。如果你在HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\下为某个可执行文件创建一个子键，并设置Debugger值指向你的Payload，那么当这个可执行文件被启动时，Windows会先启动你的Payload，并把原始可执行文件的路径作为参数传入。

攻击者选择的目标是一个以SYSTEM权限运行的计划任务或服务所调用的可执行文件。通过命名管道，攻击者向服务发送一个注册表写入请求，在IFEO下创建劫持项，将Debugger指向一个标准用户可写的目录下的Payload。

第四步：触发执行，获得SYSTEM Shell。

等待目标可执行文件被系统调度启动。当它以SYSTEM权限运行时，Windows先启动攻击者的Payload。Payload在一个SYSTEM上下文中执行，攻击者获得完整的SYSTEM Shell。

Intrinsec在2026年9月29日发布了这个IFEO PoC，Threadlinqs将其标记为“PoC public”。

四、为什么这个漏洞值得认真对待

CVSS 4.0评分7.4，在漏洞评级体系里不算“惊天动地”。但它的实际风险被三个因素放大了。

第一，攻击面广。 NitroSense和PredatorSense是Acer游戏笔记本和工作站的预装软件。受影响版本为1.0.19.2及之前，覆盖大量消费级和企业采购的终端设备。任何拿到标准用户账号的攻击者——通过钓鱼、恶意文档、或者干脆是共享工作站上的另一个用户——都可以利用这条管道提权。

第二，利用门槛低。 不需要内存破坏、不需要绕过ASLR、不需要构造ROP链。命名管道是开放的，注册表写入是服务原生支持的功能，IFEO是Windows的合法机制。整条攻击链用的全是操作系统的正常功能，唯一的“非正常”是攻击者的意图。

第三，EDR检测难度高。 从EDR的视角看，请求是从一个合法的用户态进程发往一个合法的SYSTEM服务管道，注册表写入是通过服务自身的API完成的，IFEO劫持的目标可执行文件也是合法的系统二进制。没有进程注入、没有内存权限修改、没有可疑的父子进程关系。行为特征高度贴近正常的管理操作。

VulDB在分析中将这个漏洞映射到MITRE ATT&CK的T1547（注册表Run Keys / Startup Folder持久化）和T1055（进程注入）范畴，并指出它直接影响了主机的机密性、完整性和可用性。

五、检测与修复

修复方案是明确的。 Acer已发布修复版本：NitroSense v5.2.84和PredatorSense v5.2.109。用户需要从Acer支持网站下载更新，输入序列号或SNID，在“应用程序”分类下找到对应软件，下载后解压运行Setup.exe。

修复的核心是服务端对管道访问控制和消息内容做了加固。具体改动未公开，但可以推测包括：限制管道ACL，不再授予Authenticated Users通用写权限；对消息中的操作码做白名单校验，拒绝非预期的注册表写入请求。

检测侧，有三条路径。

检查管道权限。用PowerShell枚举Acer相关管道，确认systemmonitoring_hardware_service_的ACL是否已收紧：

[System.IO.Directory]::GetFiles('\\\\.\\pipe\\') | Select-String 'Acer'

监控IFEO注册表键的异常写入。在SIEM中建立规则，对HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\下新增Debugger值的行为触发告警。正常的软件安装极少通过IFEO设置Debugger，这个行为的恶意特征很强。

监控AcerSysHardwareService的异常调用。Threadlinqs的威胁情报页面提供了9条检测规则，涵盖Splunk SPL、Microsoft KQL和Sigma格式，可以直接导入SIEM。

写在最后

OEM控制中心软件的安全问题，本质上是特权架构的设计债务。厂商为了功能便利，让一个SYSTEM服务监听一个对所有用户开放的命名管道，然后指望“没人会去逆向这个管道协议”。这个假设在2026年已经完全不成立了。

NitroSense和PredatorSense不是第一个出问题的OEM控制中心。之前已经有多个品牌的类似软件被披露过同类漏洞——命名管道权限过宽、消息协议无鉴权、注册表写入无校验。这是整个行业的结构性问题，不是某一家厂商的孤例。

如果你手里有Acer设备，现在就去检查NitroSense和PredatorSense的版本。如果你在企业环境管理终端资产，把“OEM控制中心软件版本核查”加入你的资产清单。一个预装的性能调节工具，不应该成为从标准用户到SYSTEM的跳板。

严正声明

本文所述CVE-2026-50610漏洞信息基于Intrinsec技术分析、VulDB分析、Acer官方安全公告及Threadlinqs威胁情报。所有CVE均已由Acer在NitroSense v5.2.84和PredatorSense v5.2.109中修复。本文仅用于安全研究和防御目的，任何利用所述技术对未授权系统实施攻击的行为均属违法。请立即检查你的Acer设备上NitroSense和PredatorSense的版本，并更新至修复版本。